Was 200 Erfolgsberichte zum CISSP tatsächlich aussagen

Was sagen 200 Erfolgsberichte zum CISSP aus? Sehr unterschiedliche Profile, vom GRC-Spezialisten bis zum Netzwerkverantwortlichen; eine Prüfung, die in 78 der 115 Titel mit Angabe eines Abbruchpunkts bei 100 Fragen endet; und eine Gemeinsamkeit, die deutlicher hervortritt als jedes Lernmaterial: die Überzeugung, während der Prüfung gerade zu scheitern. Im Folgenden steht, was sich von einem Bericht zum nächsten wiederholt — und am Ende die Verzerrungen, die man kennen muss, um sie richtig zu lesen.

Was enthält dieses Archiv von Erfahrungsberichten?

Das Archiv versammelt die zwischen 2023 und 2026 online erschienenen Bestehensmeldungen von 3.091 Kandidaten; davon sind die 200 am besten bewerteten in voller Länge erhalten, der Rest existiert nur als Liste von Titeln. Sämtliche Zählungen dieses Artikels beziehen sich auf diese 200 Berichte, und ausschließlich auf sie. Andere Artikel dieser Website beruhen auf anderen Auswahlen — die 120 langen Berichte für die Rangfolge der Materialien, die 50 Berichte mit den meisten Upvotes im Thema Prüfungsformat für den Abbruchpunkt — und zwei Zahlen aus verschiedenen Grundgesamtheiten sind nicht vergleichbar.

Welche Profile bestehen das CISSP?

Das Spektrum ist breit, und das ist die wichtigste Erkenntnis: Netzwerksicherheits-Ingenieure mit fünfzehn bis fünfundzwanzig Jahren Erfahrung, Analysten in Security Operations Centern, Architekten, aber auch sehr viele Profile aus Governance, Risiko und Compliance, Auditoren, ein Jurist, der in die Sicherheit gewechselt ist, ein Pre-Sales-Ingenieur und einige Kandidaten ganz ohne Position in der Cybersicherheit.

Die kürzesten Vorbereitungen gehen fast durchweg auf sehr erfahrene Profile zurück. Ein Kandidat mit mehr als fünfundzwanzig Jahren IT-Erfahrung formuliert es unumwunden:

„I think I did OK because I have so much experience. I didn’t really need to study much of the networking stuff for example.“

„Ich glaube, ich habe gut abgeschnitten, weil ich so viel Erfahrung habe. Den Netzwerkteil zum Beispiel musste ich kaum lernen.“

Umgekehrt beschreibt eine GRC-Spezialistin mit sechs Jahren Erfahrung eine zweimonatige Vorbereitung, die bei den technischen Domänen von sehr weit unten startete. Zwölf der 200 Berichte weisen darauf hin, dass Englisch nicht die Muttersprache ihres Verfassers ist.

Bei welcher Frage endet die Prüfung in diesen Berichten am häufigsten?

Von den 200 Berichten nennen 115 Titel den Abbruchpunkt. Ihre Verteilung:

Genannter Abbruchpunkt	Titel von den 115 dieser Auswahl
100 Fragen	78
101 bis 149	20
150	15
175 (altes Format)	2

Unser Artikel über die CISSP-Prüfung, die bei 100 Fragen endet beruht seinerseits auf einer anderen Grundgesamtheit — den 50 Berichten mit den meisten Upvotes im Thema Prüfungsformat, von denen 40 ein Bestehen bei genau 100 Fragen melden: dasselbe Phänomen, eine andere Stichprobe.

Zwei Vorbehalte: 85 von 200 Verfassern nennen überhaupt keinen Abbruchpunkt, und ein Abbruch bei 100 Fragen wird bereitwilliger erzählt als einer bei 150. Was die Berichte dagegen einheitlich sagen, ist, dass der Abbruchpunkt während der Prüfung kein verwertbarer Indikator ist: Mehrere Verfasser hielten sich für durchgefallen, weil die Prüfung bei 100 endete, andere gingen bis 150 und haben bestanden.

Was sagen sie alle über das Empfinden während der Prüfung?

Das ist der stabilste Punkt der Erfahrungsberichte, stabiler als jedes Lernmaterial und jede Dauer. Siebenundvierzig der 200 Berichte beschreiben ausdrücklich die Überzeugung, gerade zu scheitern, oder die Unmöglichkeit, die eigene Leistung einzuschätzen. Eine Kandidatin aus dem Finanzsektor, deren Weg Informationssicherheit, GRC, Audit und Identitätsmanagement verbindet, fasst zusammen:

„Throughout all 109 questions, I genuinely could not tell whether I was doing well or failing miserably.“

„Über alle 109 Fragen hinweg konnte ich beim besten Willen nicht sagen, ob ich gut abschnitt oder kläglich scheiterte.“

Eine GRC-Spezialistin mit sechs Jahren Erfahrung beschreibt denselben Zusammenbruch: Nach etwa dreißig auf gut Glück gegebenen Antworten sei sie bereit gewesen aufzugeben. Die Erfahrungsberichte zum Thema Prüfungsangst gehen in dieselbe Richtung: Mindestens 15 der 50 mit den meisten Upvotes beschreiben diesen Ablauf, die Gewissheit zu scheitern und dann das „Congratulations!“ auf dem Papier. Ein katastrophales Empfinden während der Prüfung ist also kein Signal für ein Nichtbestehen — und darf nicht zum Vorwand werden, die letzten Fragen nachlässig zu beantworten.

Welche Materialien kommen in den erfolgreichen Berichten am häufigsten vor?

Bericht für Bericht gezählt, über die 200 vollständigen Texte:

Lernmaterial	Berichte von den 200 dieser Auswahl
Destination Certification	111
Official Study Guide / Sybex	96
Quantum Exams	92
LearnZapp	88
Videos von Pete Zerger	82
Videos „50 Fragen“ von Andrew Ramdayal	65
KI-Assistenten	46

Für die Rangfolge der Materialien selbst ist die Seite zu den besten Materialien für das CISSP maßgeblich: Sie arbeitet mit einer anderen Auswahl — den 120 langen Berichten, in denen Destination Certification 80-mal und der Official Study Guide 77-mal genannt werden — und die beiden Zählungen addieren sich nicht.

Eine Nennung ist im Übrigen weder eine Empfehlung noch ein Wirksamkeitsnachweis: Mehrere dieser Materialien werden genannt, um kritisiert zu werden, und die Verfasser, die ihre Materialien benoten, tun das auf sehr persönlichen Skalen. Ein und derselbe Bericht vergibt 1/10 an 11th Hour CISSP, 3/10 an ein Werk nach dem Muster „think like a manager“ und 10/10 an zwei andere Materialien; der Official Study Guide erhält bei einem Verfasser 2/10 und bei einem anderen 6/10, LearnZapp je nach Bericht 7/10, 8/10 und dann 10/10. Manche sprengen die Skala ganz bewusst, um ihre Begeisterung zu zeigen, mit „100/10“ für handschriftliche Notizen oder einen Chat-Assistenten. Die Formel „think like a manager“ wird in 49 Berichten diskutiert, oft um ihre Tragweite zu relativieren.

Ein Punkt der Übereinstimmung dagegen: Fragenbanken mit prüfungsnahem Stil werden nicht wegen des Punktwerts geschätzt, den sie erzeugen, sondern wegen des Trainings im Lesen der Fragestellungen. Ein im zweiten Versuch bestandener Kandidat rät, „den Score wegzuwerfen“ und die Fragen nur als Grundlage für die Auseinandersetzung zu nutzen.

Welche Arbeitsmethode wiederholt sich von Bericht zu Bericht?

Vier Vorgehensweisen kommen regelmäßig genug vor, um sie zu benennen.

Den Termin buchen, bevor man sich bereit fühlt. Das ist der am häufigsten wiederholte Rat der Erfahrungsberichte:

„Book the exam early: You don’t truly start studying until you have an actual test date locked in.“

„Buchen Sie früh: Sie fangen erst dann wirklich an zu lernen, wenn ein tatsächlicher Prüfungstermin festgelegt ist.“

Domäne für Domäne abschließen. Das häufigste Schema reiht für jede der acht Domänen ein Übersichtsvideo, das entsprechende Kapitel eines einzigen Werks und dann die Fragen der Domäne aneinander, mit Nachbereitung der Fehler bis zu einer Schwelle von 70 bis 80 %.

Die richtigen Antworten ebenso analysieren wie die falschen. Mehrere Verfasser führen darauf den größten Teil ihres Fortschritts zurück: nachlesen, warum eine Frage falsch beantwortet wurde, und warum eine andere richtig beantwortet wurde.

Sich auf wenige Quellen beschränken. Berichte, die zehn oder fünfzehn Materialien auflisten, gibt es viele, aber ihre Verfasser sind zugleich diejenigen, die am häufigsten empfehlen, es bei zwei oder drei zu belassen.

Was erzählen die Kandidaten, die nach mehreren Fehlversuchen bestanden haben?

Sechsunddreißig der 200 Berichte erwähnen mindestens einen früheren Versuch oder ein Nichtbestehen; darunter finden sich Erfolge im dritten, vierten, fünften, sechsten und sogar siebten Anlauf. Das sind die lehrreichsten Berichte: Sie vergleichen zwei Vorbereitungen derselben Person.

Was sich von einem Versuch zum nächsten ändert, ist fast nie der Umfang der Lektüre, sondern die Art des Trainings. Ein Kandidat mit mehr als zehn Jahren im Security Operations Center, bestanden im sechsten Anlauf:

„I didn’t reread the books. I focused on practice questions and mindset.“

„Ich habe die Bücher nicht noch einmal gelesen. Ich habe mich auf Übungsfragen und auf die Denkweise konzentriert.“

Die Erfahrungsberichte zum Thema Nichtbestehen bestätigen diesen Punkt: Von den 23 dort dokumentierten Erfolgen nach einem Nichtbestehen führen neun den Umschwung auf die Aufnahme einer Fragenbank mit prüfungsnahem Stil zurück. Diese Berichte erinnern auch daran, dass die Umstände zählen: Ein Kandidat führt sein erstes Nichtbestehen auf einen Trauerfall in der Familie kurz vor der Prüfung zurück, ein anderer hat die Prüfung nach mehreren Monaten gesundheitsbedingter Unterbrechung wiederholt.

Welche Verzerrungen muss man beim Lesen dieser Berichte im Kopf behalten?

Im Wesentlichen vier — diese Berichte sind strukturell optimistisch, und keine daraus abgeleitete Zählung ist eine Statistik über Kandidaten.

Selbstselektion. Wer besteht, hat Lust zu veröffentlichen; wer scheitert, sehr viel weniger. Diese Berichte häufen also zwangsläufig Erfolge an, ohne Nenner: Es ist unbekannt, wie viele Personen die Prüfung abgelegt haben, ohne etwas zu schreiben.

Sortierung nach Beliebtheit. Die 200 ausgewählten Berichte sind die mit den meisten Upvotes, und Upvotes bekommen die spektakulären Wege. Einer der bestbewerteten Berichte nennt insgesamt fünfundvierzig Minuten Vorbereitung — bei einem Sicherheitsprofi mit fünf Jahren Erfahrung, der bereits eine andere Zertifizierung besaß. Das ist kein Modell, sondern ein Extremfall, der gut zirkuliert hat.

Nachträgliche Rekonstruktion. Diese Texte werden nach dem Ergebnis geschrieben, und der Erfolg ordnet die Erinnerung um: Das zuletzt genutzte Material wird zu „dem, was alles verändert hat“, bewusst gelassene Lücken werden zu strategischen Entscheidungen.

Wirkung auf den Leser. Ein Kommentar an einen nach dem zweiten Nichtbestehen entmutigten Kandidaten ist unmissverständlich:

„First, I advise staying away from reddit, especially the "Passed on first attempt" or "Passed with no IT experience" threads. […] These threads will only make you feel stupid and serves no benefit to your mental health.“

„Erstens rate ich, sich von Reddit fernzuhalten, insbesondere von den Threads ‚im ersten Anlauf bestanden‘ oder ‚ohne IT-Erfahrung bestanden‘. […] Diese Threads werden Ihnen nur das Gefühl geben, dumm zu sein, und bringen Ihrer psychischen Gesundheit nichts.“

Uneinheitliche Etiketten. Das Archiv enthält ein Nichtbestehen, eine ohne Rechtsmittel annullierte Zertifizierung und Dubletten: Titel zu zählen bleibt eine Näherung.

Diese 200 Berichte erlauben es zu sehen, wie Vorbereitungen aussehen, die funktioniert haben, und sich auf das Empfinden während der Prüfung einzustellen. Sie erlauben es nicht, eine Bestehenswahrscheinlichkeit zu schätzen oder daraus irgendetwas über den durchschnittlichen Kandidaten abzuleiten. Siehe unsere Methode und die Berichte von Kandidaten ohne Erfahrung in der Cybersicherheit.